Open source: harha vai eurooppalaisen digitaalisen suvereniteetin tukipilari?

Pitkään open sourcella oli eurooppalaisessa puheessa kaksijakoinen asema: ylistetty julistuksissa, marginaalinen budjeteissa. 3. kesäkuuta 2026 hyväksytty suvereniteettipaketti muuttaa ainakin statuksen: unionin open source -strategia on siinä yksi neljästä tukipilarista, samalla tasolla kuin puolijohteet, pilvi ja tekoäly. Logiikka on vankka: digitaaliset yhteisvarannot tarjoavat täydellisen läpinäkyvyyden teknologiapinoon, vähentävät omistusoikeudellista lukkiutumista ja mahdollistavat innovaatiotyön jakamisen. Kolmansien osapuolten oikeuksien alaisia suljettuja alustoja vastaan avoin koodi on ainoa riippuvuus, jonka voi auditoida, forkata ja isännöidä itse. Kun lähdekoodit tai painot on kerran hankittu, mikään ulkomainen päätös ei voi vetää niitä pois.

Mitä heinäkuu osoitti: avoimuus vahvuutena…

Heinäkuun tapaus, paradoksaalisesti, puhui avoimuuden puolesta yhtä paljon kuin sitä vastaan. Juuri avoimen painon mallien ansiosta uhrin tiimit pystyivät purkamaan hyökkääjän hyötykuormat ja rekonstruoimaan aikajanan — forensinen kyvykkyys, jota mikään suljettu, kiintiöiden ja käyttöehtojen alainen API ei olisi taannut pahimmalla hetkellä. Ja juuri avoimen ekosysteemin oma julkistamiskulttuuri tuotti muutamassa viikossa yksityiskohtaisimman teknisen post mortemin, mikä tämän tyyppisestä tapauksesta on koskaan julkaistu: aikaleimattu kronologia, rekonstruoidut toiminnot, dokumentoidut menetelmät. Koko yhteisö oppi hyökkäyksestä. Suljettu toimija olisi julkaissut neljä kappaletta.

… ja hyökkäyspintana

Mutta rehellisyys pakottaa katsomaan toista puolta. Avoin alusta, joka on suunniteltu nopeuttamaan ulkoisia kontribuutioita, altistaa rakenteellisesti enemmän pintaa kuin suljettu puutarha: julkiset varastot, arviointiputket, kolmansien osapuolten komponentit — juuri kolmannen osapuolen infrastruktuurikomponentti, esillä ja haavoittuva, toimi sisäänpääsyn ovena. Tapauksesta tuli keskeinen palanen open source -tekoälyn politiikkaa koskevassa keskustelussa: kontrollin kannattajat näkevät siinä todisteen siitä, että voimakkaiden kyvykkyyksien levittämistä on rajoitettava; avoimuuden kannattajat todisteen siitä, että kollektiivinen puolustus toimii vain läpinäkyvyyden kautta. Molemmat leirit ovat oikeassa yhdestä asiasta: avoimuus ilman turvallisuusinvestointia on rahoittamaton lupaus.

Euroopan ehto: rahoittaa yhteisvarannot

Tässä eurooppalainen strategia ratkeaa. Open sourcesta tulee suvereniteetin tukipilari vain kolmella ehdolla. Yksi: rahoittaa kriittisten komponenttien ylläpito ja turvallisuus — ei pelkkää innovaatiota, vaan putkitöitä. Vikaantumiset tulevat lähes aina hämäristä palikoista, joita ylläpitää kolme vapaaehtoista. Kaksi: rakentaa eurooppalainen auditointi- ja häiriönhallintakyvykkyys yhteisvarannoille (koodikatselmointi, järjestelmälliset SBOM:t, CVE:t käsiteltyinä Cyber Resilience Actin vaatimalla nopeudella). Kolme: että julkiset hankkijat ottavat kantaakseen etusijan avoimille ratkaisuille silloin, kun niitä on olemassa, muuttaen puheen tilauskirjaksi.

Vastaus otsikon kysymykseen on siis ehdollinen. Tukipilari, kyllä — jos Eurooppa käsittelee sitä infrastruktuurina, jota ylläpidetään. Harha, varmasti — jos se jatkaa sen käsittelyä ilmaisena resurssina, jota kulutetaan.